知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024113752
(43)【公開日】2024-08-23
(54)【発明の名称】認証システム、認証方法およびプログラム
(51)【国際特許分類】
H04L 9/32 20060101AFI20240816BHJP
G06F 21/44 20130101ALI20240816BHJP
【ＦＩ】
H04L9/32 200A
H04L9/32 200E
G06F21/44
【審査請求】未請求
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2023018897
(22)【出願日】2023-02-10
(71)【出願人】
【識別番号】000006208
【氏名又は名称】三菱重工業株式会社
(74)【代理人】
【識別番号】100149548
【弁理士】
【氏名又は名称】松沼 泰史
(74)【代理人】
【識別番号】100162868
【弁理士】
【氏名又は名称】伊藤 英輔
(74)【代理人】
【識別番号】100161702
【弁理士】
【氏名又は名称】橋本 宏之
(74)【代理人】
【識別番号】100189348
【弁理士】
【氏名又は名称】古都 智
(74)【代理人】
【識別番号】100196689
【弁理士】
【氏名又は名称】鎌田 康一郎
(72)【発明者】
【氏名】西前 悦史
(72)【発明者】
【氏名】舟橋 聡
(72)【発明者】
【氏名】川嶋 大樹
(57)【要約】
【課題】デバイス間の認証の安全性を向上することができるシステムを提供する。
【解決手段】認証システムは、第１のデバイスと第２のデバイスの間で認証を行う認証システムであって、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて認証を行う手段を備える。
【選択図】図１
【解決手段】認証システムは、第１のデバイスと第２のデバイスの間で認証を行う認証システムであって、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて認証を行う手段を備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う手段、
を備える認証システム。
を備える認証システム。
【請求項2】
前記第１のデバイスが、
前記第１の認証情報を計算する手段と、
前記第２の認証情報を計算する手段と、
を備え、
前記第２のデバイスが、
前記第１のプログラムと同じプログラムである第２のプログラムと、
前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて第３の認証情報を計算する手段と、
前記第２のプログラムの処理結果に基づいて第４の認証情報を計算する手段と、
前記認証を行う手段と、
を備え、
前記認証を行う手段は、前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う
請求項１に記載の認証システム。
前記第１の認証情報を計算する手段と、
前記第２の認証情報を計算する手段と、
を備え、
前記第２のデバイスが、
前記第１のプログラムと同じプログラムである第２のプログラムと、
前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて第３の認証情報を計算する手段と、
前記第２のプログラムの処理結果に基づいて第４の認証情報を計算する手段と、
前記認証を行う手段と、
を備え、
前記認証を行う手段は、前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う
請求項１に記載の認証システム。
【請求項3】
前記第１のデバイスが、
前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う手段、
をさらに備える請求項２に記載の認証システム。
前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う手段、
をさらに備える請求項２に記載の認証システム。
【請求項4】
前記第１のデバイスでは、前記第１のプログラムを実行させる実行環境と、前記第１の認証情報を計算する手段および前記第２の認証情報を計算する手段の実行環境と、が異なるように構成された、
請求項２又は請求項３に記載の認証システム。
請求項２又は請求項３に記載の認証システム。
【請求項5】
前記第２のデバイスでは、前記第２のプログラムを実行させる実行環境と、前記第３の認証情報を計算する手段および前記第４の認証情報を計算する手段の実行環境と、が異なるように構成された、
請求項３に記載の認証システム。
請求項３に記載の認証システム。
【請求項6】
前記第１の認証情報は、前記第１の認証情報を計算する度に発生させた乱数と、前記第１のプログラムの実行ファイル及び／又は設定ファイルの情報とに基づいて計算されたハッシュ値であり、
前記第３の認証情報は、前記乱数と、前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報とに基づいて計算されたハッシュ値である、
請求項２又は請求項３に記載の認証システム。
前記第３の認証情報は、前記乱数と、前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報とに基づいて計算されたハッシュ値である、
請求項２又は請求項３に記載の認証システム。
【請求項7】
前記第２の認証情報は、前記第１のプログラムの所定の処理を実行した演算結果から計算したＣＲＣ（Cyclic Redundancy Check）であり、
前記第２の認証情報は、前記第２のプログラムの前記所定の処理を実行した演算結果から計算したＣＲＣである、
請求項２又は請求項３に記載の認証システム。
前記第２の認証情報は、前記第２のプログラムの前記所定の処理を実行した演算結果から計算したＣＲＣである、
請求項２又は請求項３に記載の認証システム。
【請求項8】
前記第１のプログラムが実行される間、
前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、
前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、
前記第２のデバイスでは、前記第２のプログラムを実行すると共に
前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、
前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、
前記第２のデバイスの前記認証を行う手段は、周期的に前記認証を行う、
請求項２又は請求項３に記載の認証システム。
前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、
前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、
前記第２のデバイスでは、前記第２のプログラムを実行すると共に
前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、
前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、
前記第２のデバイスの前記認証を行う手段は、周期的に前記認証を行う、
請求項２又は請求項３に記載の認証システム。
【請求項9】
前記第１のプログラムが実行される間、
前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、
前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、
前記第２のデバイスでは、前記第２のプログラムを実行すると共に
前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、
前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、
前記第１のデバイスの前記認証を行う手段は、周期的に前記認証を行う、
請求項３に記載の認証システム。
前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、
前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、
前記第２のデバイスでは、前記第２のプログラムを実行すると共に
前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、
前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、
前記第１のデバイスの前記認証を行う手段は、周期的に前記認証を行う、
請求項３に記載の認証システム。
【請求項10】
前記第１のデバイスと前記第２のデバイスでセッションを開始する際には、前記第１のデバイスが記憶する第１の鍵情報と、前記第２のデバイスが記憶する第２の鍵情報を交換して前記認証を行い、認証に成功した場合、セッションを開始する、
請求項２又は請求項３に記載の認証システム。
請求項２又は請求項３に記載の認証システム。
【請求項11】
第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う、
認証方法。
認証方法。
【請求項12】
コンピュータに、
第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う処理、
を実行させるプログラム。
第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う処理、
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、認証システム、認証方法およびプログラムに関する。
【背景技術】
【0002】
認証のセキュリティを向上させるために、ユーザに対する認証では、パスワード認証、指紋認証などの複数の認証情報を組合せた多要素認証が行われている。一方、デバイス同士の認証では、記憶媒体に記憶させている鍵情報のみに依存した単一要素認証のままであることが多い。これに対し、特許文献１には、第１のデータ処理デバイスが、第２のデータ処理デバイスに認証を要求する場合、第２のデータ処理デバイスが、デバイス特有の鍵、第２のデータ処理デバイスのハードウェアの構成及び第２のデータ処理デバイス上で動作するソフトウェアのソフトウェア構成に依存するデバイス特有の認証メッセージを生成し、このメッセージに対して認証を行う発明が開示されている。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特表２０２１－５２７３４２号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１に開示があるように、鍵情報だけでなく、デバイスのハードウェア構成やソフトウェア構成の情報を認証に利用することでセキュリティは向上する。しかし、例えば、第三者がハードウェアやソフトウェアの構成に関する情報を入手した場合には、第三者のなりすましによる認証が成立してしまう。デバイス間の認証に使用することができる、さらに高セキュリティな認証方法が求められている。
【0005】
本開示は、上記課題を解決することができる認証システム、認証方法およびプログラムを提供する。
【課題を解決するための手段】
【0006】
本開示の認証システムは、第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う手段、を備える。
【0007】
また、本開示の認証方法は、第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行うステップ、を有する。
【0008】
また、本開示のプログラムは、コンピュータに、第１のデバイスと第２のデバイスの間の認証について、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行うステップ、を含む処理を実行させる。
【発明の効果】
【0009】
上述の認証システム、認証方法およびプログラムによれば、デバイス間の認証の安全性を向上することができる。
【図面の簡単な説明】
【0010】
【図1】実施形態に係るシステムの一例を示す図である。
【図2】実施形態に係る認証システムの一例を示す図である。
【図3】実施形態に係る認証情報の生成処理について説明する第１図である。
【図4】実施形態に係る認証情報の生成処理について説明する第２図である。
【図5】実施形態に係る多要素認証処理の一例を示すフローチャートである。
【図6】実施形態に係る多要素認証処理の適用例を示す図である。
【図7】実施形態に係るデバイスのハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【0011】
＜実施形態＞
以下、各実施形態に係る認証方法について、図１～図７を参照しながら説明する。
（構成）
図１は、本開示の実施形態に係るシステムの一例を示す図である。本実施形態の多要素認証方法を適用するシステムは、例えば、コンピュータで構成されたデバイス１とデバイス２を含む。デバイス１では、アプリケーションプログラムＡ，Ｂ，Ｃ（以下、省略してアプリＡのように記載する場合がある。）が稼働し、デバイス２ではアプリＤ，Ｅ，Ｆが稼働していて、例えば、アプリＢとアプリＥが通信を行うときに認証が必要とされる。アプリＢとアプリＥは、互いに通信しながらデバイス１の動作、デバイス２の動作に必要な処理を行ったり、アプリＢがアプリＥを通じてデバイス２の動作を制御したりする。例えば、デバイス１とデバイス２は、共にプラント等に設けられた機器や移動体であって、自装置の動作に必要な情報を交換しながら処理を実行するシステムであってもよい。あるいは、デバイス１が制御装置で、デバイス２が被制御対象装置、例えば、無人車両、無人航空機、交通システム（列車）などの移動体、タービン、工作機械、ボイラなどの機械であってもよい。デバイスで稼働するアプリ同士が、通信し合って動作する場合、外部から第三者の攻撃を受けたり、外乱等の影響で予期しない制御信号を受信したりする可能性があり、通信相手のデバイスやプログラム、当該プログラムの処理内容が適正であることを確認することが求められる。本実施形態の多要素認証方式は、デバイス１のアプリＢとデバイス２のアプリＥが互いに通信しながら制御等を行う際に、通信相手のデバイスで稼働するアプリが正しい通信相手であることを確認すると共に、当該アプリの処理内容が正しいことを確認する機能を提供する。以下、一例として、デバイス１が車両を制御する管制室のコンピュータ、デバイス２が車両に搭載されたコンピュータ（車載器）である場合を例に、本実施形態の認証方法について説明する。
以下、各実施形態に係る認証方法について、図１～図７を参照しながら説明する。
（構成）
図１は、本開示の実施形態に係るシステムの一例を示す図である。本実施形態の多要素認証方法を適用するシステムは、例えば、コンピュータで構成されたデバイス１とデバイス２を含む。デバイス１では、アプリケーションプログラムＡ，Ｂ，Ｃ（以下、省略してアプリＡのように記載する場合がある。）が稼働し、デバイス２ではアプリＤ，Ｅ，Ｆが稼働していて、例えば、アプリＢとアプリＥが通信を行うときに認証が必要とされる。アプリＢとアプリＥは、互いに通信しながらデバイス１の動作、デバイス２の動作に必要な処理を行ったり、アプリＢがアプリＥを通じてデバイス２の動作を制御したりする。例えば、デバイス１とデバイス２は、共にプラント等に設けられた機器や移動体であって、自装置の動作に必要な情報を交換しながら処理を実行するシステムであってもよい。あるいは、デバイス１が制御装置で、デバイス２が被制御対象装置、例えば、無人車両、無人航空機、交通システム（列車）などの移動体、タービン、工作機械、ボイラなどの機械であってもよい。デバイスで稼働するアプリ同士が、通信し合って動作する場合、外部から第三者の攻撃を受けたり、外乱等の影響で予期しない制御信号を受信したりする可能性があり、通信相手のデバイスやプログラム、当該プログラムの処理内容が適正であることを確認することが求められる。本実施形態の多要素認証方式は、デバイス１のアプリＢとデバイス２のアプリＥが互いに通信しながら制御等を行う際に、通信相手のデバイスで稼働するアプリが正しい通信相手であることを確認すると共に、当該アプリの処理内容が正しいことを確認する機能を提供する。以下、一例として、デバイス１が車両を制御する管制室のコンピュータ、デバイス２が車両に搭載されたコンピュータ（車載器）である場合を例に、本実施形態の認証方法について説明する。
【0012】
図２は、実施形態に係る認証システム１００の一例を示す図である。認証システム１００は、デバイス１とデバイス２を含む。デバイス１は、管制室のコンピュータ、デバイス２は車両のコンピュータである。
【0013】
（デバイス１の構成）
デバイス１は、管制室側アプリ１０１と、通信ミドルウェア１０２と、セッション接続判断プログラム１０３と、鍵情報１０４と、ファイル認証プログラム１０６と、実行履歴認証プログラム１０８と、仮想化アプリ１０９と、車両側アプリ１１０と、を備える。
管制室側アプリ１０１は、車両又は車両に搭載されたデバイス２の制御、監視などを行うアプリケーションプログラムである。管制室側アプリ１０１は、例えば上位ＯＴＡプログラム（後述）である。管制室側アプリ１０１は、図１のプログラムＢに対応する。
通信ミドルウェア１０２は、デバイス２との通信を行うプログラムである。例えば、通信ミドルウェア１０２は、ＨＩＰ（Host Identity Protocol）で通信を行う。
セッション接続判断プログラム１０３は、通信相手のデバイスやプログラムが正しいか否かとその処理内容が正しいか否かの判定を行い、その判定に基づいて、セッションを制御する。例えば、認証に成功すれば、セッション接続判断プログラム１０３は、セッションの開始や維持を行い、認証に失敗すれば、セッションを終了（遮断）させる。セッション接続判断プログラム１０３は、車両側のセッション接続判断プログラム２０３との共有鍵（暗号化に用いる鍵）を有している。
デバイス１は、管制室側アプリ１０１と、通信ミドルウェア１０２と、セッション接続判断プログラム１０３と、鍵情報１０４と、ファイル認証プログラム１０６と、実行履歴認証プログラム１０８と、仮想化アプリ１０９と、車両側アプリ１１０と、を備える。
管制室側アプリ１０１は、車両又は車両に搭載されたデバイス２の制御、監視などを行うアプリケーションプログラムである。管制室側アプリ１０１は、例えば上位ＯＴＡプログラム（後述）である。管制室側アプリ１０１は、図１のプログラムＢに対応する。
通信ミドルウェア１０２は、デバイス２との通信を行うプログラムである。例えば、通信ミドルウェア１０２は、ＨＩＰ（Host Identity Protocol）で通信を行う。
セッション接続判断プログラム１０３は、通信相手のデバイスやプログラムが正しいか否かとその処理内容が正しいか否かの判定を行い、その判定に基づいて、セッションを制御する。例えば、認証に成功すれば、セッション接続判断プログラム１０３は、セッションの開始や維持を行い、認証に失敗すれば、セッションを終了（遮断）させる。セッション接続判断プログラム１０３は、車両側のセッション接続判断プログラム２０３との共有鍵（暗号化に用いる鍵）を有している。
【0014】
鍵情報１０４は、セッション開始時に通信相手に送信し、通信相手（デバイス２）に対して、自装置（デバイス１）が正しい通信相手であることを証明するために使用される情報である。
ファイル認証プログラム１０６は、認証対象プログラム（車両側アプリ１１０）の実行ファイル／設定ファイル１１１（実行ファイル／設定ファイル１１１は、車両側アプリ１１０の実行ファイル及び／又は設定ファイルのことを指す。）のハッシュ値１０５を計算するプログラムである。
実行履歴認証プログラム１０８は、認証対象プログラムの実行履歴１１２のＣＲＣ（Cyclic Redundancy Check）を計算するプログラムである。
ファイル認証プログラム１０６は、認証対象プログラム（車両側アプリ１１０）の実行ファイル／設定ファイル１１１（実行ファイル／設定ファイル１１１は、車両側アプリ１１０の実行ファイル及び／又は設定ファイルのことを指す。）のハッシュ値１０５を計算するプログラムである。
実行履歴認証プログラム１０８は、認証対象プログラムの実行履歴１１２のＣＲＣ（Cyclic Redundancy Check）を計算するプログラムである。
【0015】
仮想化アプリ１０９は、仮想環境を提供するプログラムである。本実施形態では、仮想化アプリ１０９が提供する仮想環境上で車両側アプリ１１０が稼働する。
車両側アプリ１１０は、デバイス２で動作する認証対象プログラム（車両側アプリ２０１）と同じアプリである。車両側アプリ１１０は、図１のプログラムＥに対応し、これを自装置の仮想環境で稼働する構成となっている。認証対象プログラムは、例えば、ＯＴＡ（Over the Air）プログラムである。ＯＴＡプログラムには、車載器に搭載されたプログラムを新しいプログラムに更新したりデータを更新したりする機能、新しいプログラムやデータをダウンロードする機能、データをバックアップする機能などが含まれる。例えば、上述の管制室側アプリ１０１は、デバイス２に対してプログラムやデータの更新、ダウンロード、データバックアップを指示するＯＴＡ上位システムである。車両側アプリ１１０は、ＯＴＡ上位システムからの指示に基づいて、新しいプログラム等のダウンロード、更新、バックアップなどを実行するＯＴＡプログラムである。
車両側アプリ１１０は、デバイス２で動作する認証対象プログラム（車両側アプリ２０１）と同じアプリである。車両側アプリ１１０は、図１のプログラムＥに対応し、これを自装置の仮想環境で稼働する構成となっている。認証対象プログラムは、例えば、ＯＴＡ（Over the Air）プログラムである。ＯＴＡプログラムには、車載器に搭載されたプログラムを新しいプログラムに更新したりデータを更新したりする機能、新しいプログラムやデータをダウンロードする機能、データをバックアップする機能などが含まれる。例えば、上述の管制室側アプリ１０１は、デバイス２に対してプログラムやデータの更新、ダウンロード、データバックアップを指示するＯＴＡ上位システムである。車両側アプリ１１０は、ＯＴＡ上位システムからの指示に基づいて、新しいプログラム等のダウンロード、更新、バックアップなどを実行するＯＴＡプログラムである。
【0016】
（デバイス２の構成）
デバイス２は、車両側アプリ２０１と、通信ミドルウェア２０２と、セッション接続判断プログラム２０３と、鍵情報２０４と、ファイル認証プログラム２０６と、実行履歴認証プログラム２０８と、を備える。
車両側アプリ２０１は、認証対象プログラムである。例えば、車両側アプリ２０１は、ＯＴＡプログラム（デバイス２で稼働する各種プログラムの更新・ダウンロードやデータバックアップを行うプログラム）である。
通信ミドルウェア２０２は、デバイス１との通信を行うプログラムである。例えば、通信ミドルウェア２０２は、ＨＩＰ（Host Identity Protocol）で通信を行う。
セッション接続判断プログラム２０３は、通信相手のデバイス１やプログラムが正しいか否かと当該プログラムの処理内容が正しいか否かの判定を行い、その判定に基づいて、セッションを制御する。例えば、認証に成功すれば、セッション接続判断プログラム２０３は、セッションを開始したり、維持したりする。認証に失敗すれば、セッション接続判断プログラム２０３は、セッションを終了（遮断）する。セッション接続判断プログラム２０３は、管制室側のセッション接続判断プログラム１０３との共有鍵（暗号化に用いる鍵）を有している。
デバイス２は、車両側アプリ２０１と、通信ミドルウェア２０２と、セッション接続判断プログラム２０３と、鍵情報２０４と、ファイル認証プログラム２０６と、実行履歴認証プログラム２０８と、を備える。
車両側アプリ２０１は、認証対象プログラムである。例えば、車両側アプリ２０１は、ＯＴＡプログラム（デバイス２で稼働する各種プログラムの更新・ダウンロードやデータバックアップを行うプログラム）である。
通信ミドルウェア２０２は、デバイス１との通信を行うプログラムである。例えば、通信ミドルウェア２０２は、ＨＩＰ（Host Identity Protocol）で通信を行う。
セッション接続判断プログラム２０３は、通信相手のデバイス１やプログラムが正しいか否かと当該プログラムの処理内容が正しいか否かの判定を行い、その判定に基づいて、セッションを制御する。例えば、認証に成功すれば、セッション接続判断プログラム２０３は、セッションを開始したり、維持したりする。認証に失敗すれば、セッション接続判断プログラム２０３は、セッションを終了（遮断）する。セッション接続判断プログラム２０３は、管制室側のセッション接続判断プログラム１０３との共有鍵（暗号化に用いる鍵）を有している。
【0017】
鍵情報２０４は、セッション開始時に通信相手に送信し、通信相手（デバイス１）に対して、自装置（デバイス２）が正しい通信相手であることを証明するために使用される情報である。
ファイル認証プログラム２０６は、認証対象プログラム（車両側アプリ２０１）の実行ファイル／設定ファイル２０９（実行ファイル／設定ファイル２０９は、車両側アプリ２０１の実行ファイル及び／又は設定ファイルのことを指す。）のハッシュ値２０５を計算するログラムである。本実施形態では、ハッシュ値２０５と次に説明する実行履歴ＣＲＣ２０７が認証に利用される。
実行履歴認証プログラム２０８は、認証対象プログラムの実行履歴２１０のＣＲＣ（実行履歴ＣＲＣ２０７）を計算するプログラムである。
ファイル認証プログラム２０６は、認証対象プログラム（車両側アプリ２０１）の実行ファイル／設定ファイル２０９（実行ファイル／設定ファイル２０９は、車両側アプリ２０１の実行ファイル及び／又は設定ファイルのことを指す。）のハッシュ値２０５を計算するログラムである。本実施形態では、ハッシュ値２０５と次に説明する実行履歴ＣＲＣ２０７が認証に利用される。
実行履歴認証プログラム２０８は、認証対象プログラムの実行履歴２１０のＣＲＣ（実行履歴ＣＲＣ２０７）を計算するプログラムである。
【0018】
例えば、デバイス２のハードウェア（プロセッサ）には、ＴＥＥ（Trusted Execution Environment）などのセキュアな実行環境（ＳｅｃｕｒｅＷｏｒｌｄ）が構築されていてもよい。そして、上記構成のうち、例えば、車両側アプリ２０１と、通信ミドルウェア２０２と、セッション接続判断プログラム２０３を、ＮｏｒｍａｌＷｏｒｌｄ（通常のＯＳ（Operating System））に実装し、鍵情報２０４と、ファイル認証プログラム２０６と、実行履歴認証プログラム２０８を、ＳｅｃｕｒｅＷｏｒｌｄ（ＴＥＥ）に実装し、ハッシュ値２０５や実行履歴ＣＲＣ２０７はＳｅｃｕｒｅＷｏｒｌｄにて生成されるように構成されていてもよい。なお、図２では管制室側のデバイス１については通常のＯＳ上に各アプリ等を実装するよう記載されているが、デバイス１についても同様に、ＴＥＥが搭載されていてもよい。また、デバイス２のＴＥＥは必須ではなく、デバイス２においても通常のＯＳ上に車両側アプリ２０１、通信ミドルウェア２０２、セッション接続判断プログラム２０３、鍵情報２０４、ファイル認証プログラム２０６、実行履歴認証プログラム２０８が実装されていてもよい。
【0019】
（ハッシュ値の生成）
図３にハッシュ値２０５の生成方法の一例を示す。ファイル認証プログラム２０６は、デバイス２の車両側アプリ２０１とデバイス１の管制室側アプリ１０１が通信を行っている際に、デバイス２のメモリ上に展開された車両側アプリ２０１の実行コードや車両側アプリ２０１の設定ファイルの設定情報などを読み込んで、読み込んだデータの一部をハッシュ値生成処理の対象データとして抽出する。ファイル認証プログラム２０６は、抽出した処理対象データを所定の長さのブロックに分割する。例えば、分割したブロックをｂｌｏｃｋ１～３とする。ファイル認証プログラム２０６は、ｂｌｏｃｋ１～３をビット操作してｂｌｏｃｋ１´～３´を生成する。これと並行して、ファイル認証プログラム２０６は、乱数を発生させ（チャレンジ）、発生させた乱数とｂｌｏｃｋ１´～３´を組み合わせたデータを所定のハッシュ関数に入力する等してハッシュ値２０５を生成する。乱数を発生させるのでハッシュ値２０５の値は毎回違った値となる。ファイル認証プログラム２０６が発生させた乱数は、デバイス１でも共有される。デバイス１では、ファイル認証プログラム１０６が、共有される乱数、実行ファイル／設定ファイル１１１を用いて同様の処理を行い、ハッシュ値１０５を生成する。本実施形態では多要素認証の一つの要素として、ハッシュ値１０５，２０５を認証に用いる。ハッシュ値１０５とハッシュ値２０５の値が一致すれば、車両側アプリ１１０と車両側アプリ２０１が同じで、車両側アプリ２０１が改ざんされていないことを確認することができる。
図３にハッシュ値２０５の生成方法の一例を示す。ファイル認証プログラム２０６は、デバイス２の車両側アプリ２０１とデバイス１の管制室側アプリ１０１が通信を行っている際に、デバイス２のメモリ上に展開された車両側アプリ２０１の実行コードや車両側アプリ２０１の設定ファイルの設定情報などを読み込んで、読み込んだデータの一部をハッシュ値生成処理の対象データとして抽出する。ファイル認証プログラム２０６は、抽出した処理対象データを所定の長さのブロックに分割する。例えば、分割したブロックをｂｌｏｃｋ１～３とする。ファイル認証プログラム２０６は、ｂｌｏｃｋ１～３をビット操作してｂｌｏｃｋ１´～３´を生成する。これと並行して、ファイル認証プログラム２０６は、乱数を発生させ（チャレンジ）、発生させた乱数とｂｌｏｃｋ１´～３´を組み合わせたデータを所定のハッシュ関数に入力する等してハッシュ値２０５を生成する。乱数を発生させるのでハッシュ値２０５の値は毎回違った値となる。ファイル認証プログラム２０６が発生させた乱数は、デバイス１でも共有される。デバイス１では、ファイル認証プログラム１０６が、共有される乱数、実行ファイル／設定ファイル１１１を用いて同様の処理を行い、ハッシュ値１０５を生成する。本実施形態では多要素認証の一つの要素として、ハッシュ値１０５，２０５を認証に用いる。ハッシュ値１０５とハッシュ値２０５の値が一致すれば、車両側アプリ１１０と車両側アプリ２０１が同じで、車両側アプリ２０１が改ざんされていないことを確認することができる。
【0020】
（実行履歴ＣＲＣの生成）
図４に実行履歴ＣＲＣ２０７の生成方法の一例を示す。デバイス２の車両側アプリ２０１とデバイス１の管制室側アプリ１０１が通信を行っているときに、車両側アプリ２０１では、例えば、処理Ａ、処理Ｂ、処理Ｃの順に処理が実行される。処理Ａ、処理Ｂ、処理Ｃの各々は、例えば、ひとまとまりの処理ブロックであり、処理Ａ、処理Ｂ、処理Ｃの実行後にチェックポイントが設定されている。車両側アプリ２０１は、入力信号ａを入力として処理Ａを実行し、処理Ａの演算結果を実行履歴認証プログラム２０８へ出力する。ここで、入力信号ａとは、例えば、車両に搭載されたセンサが計測した値である。後述する入力信号ｂ、ｃについても同様である。実行履歴認証プログラム２０８は、前周期の実行履歴ＣＲＣ２０７と処理Ａの演算結果を組み合わせたデータからＣＲＣを計算する（２０８１）。次に車両側アプリ２０１は、入力信号ｂを入力として処理Ｂを実行し、処理Ｂの演算結果を実行履歴認証プログラム２０８へ出力する。実行履歴認証プログラム２０８は、処理Ａの演算結果等から計算されたＣＲＣと処理Ｂの演算結果を組み合わせたデータからＣＲＣを計算する（２０８２）。次に車両側アプリ２０１は、入力信号ｃを入力として処理Ｃを実行し、処理Ｃの演算結果を実行履歴認証プログラム２０８へ出力する。実行履歴認証プログラム２０８は、処理Ｂの演算結果等から計算されたＣＲＣと処理Ｃの演算結果を組み合わせたデータからＣＲＣを計算する（２０８３）。次に実行履歴認証プログラム２０８は、処理Ｃの処理結果等から計算されたＣＲＣからハッシュ値を計算する（２０８４）。計算されたハッシュ値が実行履歴ＣＲＣ２０７である。デバイス１では、実行履歴認証プログラム１０８が同様の処理を行って実行履歴ＣＲＣ１０７を生成する。本実施形態では、ハッシュ値１０５，２０５に加え、実行履歴ＣＲＣ１０７，２０７を認証に用いる。実行履歴ＣＲＣ１０７と実行履歴ＣＲＣ２０７の値が一致すれば、車両側アプリ１１０と車両側アプリ２０１の処理結果が同じで、車両側アプリ２０１が正常に動作していることを確認することができる。
図４に実行履歴ＣＲＣ２０７の生成方法の一例を示す。デバイス２の車両側アプリ２０１とデバイス１の管制室側アプリ１０１が通信を行っているときに、車両側アプリ２０１では、例えば、処理Ａ、処理Ｂ、処理Ｃの順に処理が実行される。処理Ａ、処理Ｂ、処理Ｃの各々は、例えば、ひとまとまりの処理ブロックであり、処理Ａ、処理Ｂ、処理Ｃの実行後にチェックポイントが設定されている。車両側アプリ２０１は、入力信号ａを入力として処理Ａを実行し、処理Ａの演算結果を実行履歴認証プログラム２０８へ出力する。ここで、入力信号ａとは、例えば、車両に搭載されたセンサが計測した値である。後述する入力信号ｂ、ｃについても同様である。実行履歴認証プログラム２０８は、前周期の実行履歴ＣＲＣ２０７と処理Ａの演算結果を組み合わせたデータからＣＲＣを計算する（２０８１）。次に車両側アプリ２０１は、入力信号ｂを入力として処理Ｂを実行し、処理Ｂの演算結果を実行履歴認証プログラム２０８へ出力する。実行履歴認証プログラム２０８は、処理Ａの演算結果等から計算されたＣＲＣと処理Ｂの演算結果を組み合わせたデータからＣＲＣを計算する（２０８２）。次に車両側アプリ２０１は、入力信号ｃを入力として処理Ｃを実行し、処理Ｃの演算結果を実行履歴認証プログラム２０８へ出力する。実行履歴認証プログラム２０８は、処理Ｂの演算結果等から計算されたＣＲＣと処理Ｃの演算結果を組み合わせたデータからＣＲＣを計算する（２０８３）。次に実行履歴認証プログラム２０８は、処理Ｃの処理結果等から計算されたＣＲＣからハッシュ値を計算する（２０８４）。計算されたハッシュ値が実行履歴ＣＲＣ２０７である。デバイス１では、実行履歴認証プログラム１０８が同様の処理を行って実行履歴ＣＲＣ１０７を生成する。本実施形態では、ハッシュ値１０５，２０５に加え、実行履歴ＣＲＣ１０７，２０７を認証に用いる。実行履歴ＣＲＣ１０７と実行履歴ＣＲＣ２０７の値が一致すれば、車両側アプリ１１０と車両側アプリ２０１の処理結果が同じで、車両側アプリ２０１が正常に動作していることを確認することができる。
【0021】
（動作）
次に図５を参照して、本実施形態の多要素認証処理の流れについて説明する。
図５は、実施形態に係る多要素認証処理の一例を示すフローチャートである。
最初に管制室のデバイス１と車両のデバイス２でセッションを構築する。デバイス１とデバイス２との間で初めて通信を行う時（＝セッション構築時）には鍵情報１０４，２０４を用いて相互認証を行う。具体的には、デバイス１からデバイス２へ鍵情報１０４を送信する（ステップＳ１）。デバイス２の通信ミドルウェア２０２からデバイス１の通信ミドルウェア１０２へ鍵情報２０４を送信する（ステップＳ１´）。デバイス１では、セッション接続判断プログラム１０３が、デバイス２から送信された鍵情報２０４を受信して認証を行う（ステップＳ２）。例えば、セッションを構築すべき通信相手がデバイス２で、鍵情報２０４がデバイス２のものであれば、セッション接続判断プログラム１０３は、認証成功と判定し、鍵情報２０４がデバイス２の鍵情報でなければ、認証失敗と判定する。あるいは、鍵情報１０４と鍵情報２０４は同一の情報であって、セッション接続判断プログラム１０３は、鍵情報１０４と鍵情報２０４が一致すれば認証成功と判定し、両者が一致しなければ認証失敗と判定する。認証成功と判定すると、セッション接続判断プログラム１０３は、セッションを開始する（ステップＳ３）。認証失敗と判定すると、セッション接続判断プログラム１０３は、セッションを開始せずに管制員へ認証失敗を通知する。一方、デバイス２では、セッション接続判断プログラム２０３が、デバイス１から送信された鍵情報１０４を受信して認証を行う（ステップＳ２´）。例えば、セッションを構築すべき通信相手がデバイス１で、鍵情報１０４がデバイス１のものであれば、セッション接続判断プログラム２０３は、認証成功と判定し、鍵情報１０４がデバイス１の鍵情報でなければ、認証失敗と判定する。あるいは、セッション接続判断プログラム２０３は、鍵情報１０４と鍵情報２０４が一致すれば認証成功と判定し、両者が一致しなければ認証失敗と判定する。認証成功と判定すると、セッション接続判断プログラム２０３は、セッションを開始する（ステップＳ３´）。認証失敗と判定すると、セッション接続判断プログラム２０３は、セッションを開始せずに、デバイス２は縮退動作（例えば、車両側アプリ２０１を停止する、車両側アプリ２０１の一部の処理のみを実行する等）へ移行する。
次に図５を参照して、本実施形態の多要素認証処理の流れについて説明する。
図５は、実施形態に係る多要素認証処理の一例を示すフローチャートである。
最初に管制室のデバイス１と車両のデバイス２でセッションを構築する。デバイス１とデバイス２との間で初めて通信を行う時（＝セッション構築時）には鍵情報１０４，２０４を用いて相互認証を行う。具体的には、デバイス１からデバイス２へ鍵情報１０４を送信する（ステップＳ１）。デバイス２の通信ミドルウェア２０２からデバイス１の通信ミドルウェア１０２へ鍵情報２０４を送信する（ステップＳ１´）。デバイス１では、セッション接続判断プログラム１０３が、デバイス２から送信された鍵情報２０４を受信して認証を行う（ステップＳ２）。例えば、セッションを構築すべき通信相手がデバイス２で、鍵情報２０４がデバイス２のものであれば、セッション接続判断プログラム１０３は、認証成功と判定し、鍵情報２０４がデバイス２の鍵情報でなければ、認証失敗と判定する。あるいは、鍵情報１０４と鍵情報２０４は同一の情報であって、セッション接続判断プログラム１０３は、鍵情報１０４と鍵情報２０４が一致すれば認証成功と判定し、両者が一致しなければ認証失敗と判定する。認証成功と判定すると、セッション接続判断プログラム１０３は、セッションを開始する（ステップＳ３）。認証失敗と判定すると、セッション接続判断プログラム１０３は、セッションを開始せずに管制員へ認証失敗を通知する。一方、デバイス２では、セッション接続判断プログラム２０３が、デバイス１から送信された鍵情報１０４を受信して認証を行う（ステップＳ２´）。例えば、セッションを構築すべき通信相手がデバイス１で、鍵情報１０４がデバイス１のものであれば、セッション接続判断プログラム２０３は、認証成功と判定し、鍵情報１０４がデバイス１の鍵情報でなければ、認証失敗と判定する。あるいは、セッション接続判断プログラム２０３は、鍵情報１０４と鍵情報２０４が一致すれば認証成功と判定し、両者が一致しなければ認証失敗と判定する。認証成功と判定すると、セッション接続判断プログラム２０３は、セッションを開始する（ステップＳ３´）。認証失敗と判定すると、セッション接続判断プログラム２０３は、セッションを開始せずに、デバイス２は縮退動作（例えば、車両側アプリ２０１を停止する、車両側アプリ２０１の一部の処理のみを実行する等）へ移行する。
【0022】
なお、鍵情報２０４による認証が失敗した場合、通信ミドルウェア１０２は、通信ミドルウェア２０２へ鍵情報２０４の再送を要求し、所定回数だけ鍵情報２０４による認証を行っても認証に成功しなかった場合には、セッション接続判断プログラム１０３が認証失敗と判定してもよい。同様に、鍵情報１０４による認証が失敗した場合、通信ミドルウェア２０２は、通信ミドルウェア１０２へ鍵情報１０４の再送を要求し、所定回数だけ鍵情報１０４による認証を行っても認証に成功しなかった場合、セッション接続判断プログラム２０３が認証失敗と判定してもよい。
【0023】
デバイス１とデバイス２のセッションが開始されると、デバイス１とデバイス２は通信を開始する。例えば、デバイス１の管制室側アプリ１０１からデバイス２へデータバックアップ、更新プログラムのダウンロード、ダウンロードした更新プログラムの適用（アップデート）を指示し、デバイス２では、車両側アプリ２０１が、デバイス１からの指示に基づいて処理を行い、その実行結果などをデバイス１へ送信するといった処理が実行される。デバイス１とデバイス２の通信中は、周期的（例えば、一定の周期で）にハッシュ値１０５，２０５と、実行履歴ＣＲＣ１０７，２０７を相互に交換して相互認証を行う。
【0024】
まず、車両側のファイル認証プログラム２０６は、乱数を発生させ（ステップＳ４）、発生させた乱数と車両側アプリ２０１の実行ファイル／設定ファイル１１１をＳｅｃｕｒｅＷｏｒｌｄに読み込み、メモリ空間に展開されたコード情報などからハッシュ値２０５を計算する（ステップＳ５）。
【0025】
また、車両側アプリ２０１は，処理のチェックポイント（例えば、図４の例では、処理Ａ、処理Ｂ、処理Ｃにチェックポイントが設定されている。）で、入力信号に基づく処理の演算結果を実行履歴認証プログラム２０８に通知する。実行履歴認証プログラム２０８は通知された演算結果を元に実行履歴ＣＲＣ２０７を計算する（ステップＳ６）。実行履歴認証プログラム２０８は、計算した実行履歴ＣＲＣ２０７を、次周期の実行履歴ＣＲＣのために記憶しておく。
【0026】
セッション接続判断プログラム２０３は、ハッシュ値２０５の計算に用いた乱数と、ハッシュ値２０５と、実行履歴ＣＲＣ２０７の計算に用いた入力信号と、実行履歴ＣＲＣ２０７と、実行履歴ＣＲＣ２０７の対象となる処理（例えば、処理Ａ，Ｂ，Ｃ）の識別情報など、が含まれた認証用データを生成し、共有鍵で暗号化する。通信ミドルウェア２０２は、暗号化された認証用データをデバイス１へ送信する（ステップＳ７）。
【0027】
デバイス１では、通信ミドルウェア１０２が認証用データを取得し、セッション接続判断プログラム１０３が共有鍵で認証用データを復号する。セッション接続判断プログラム１０３は、認証用データに含まれる乱数をファイル認証プログラム１０６へ出力し、認証用データに含まれる入力信号を実行履歴認証プログラム１０８へ出力する。
【0028】
管制室側のデバイス１では、仮想化アプリ１０９が稼働しており、仮想環境上では、車両側アプリ１１０が稼働し、車両側の車両側アプリ２０１と同じ処理（例えば、処理Ａ、処理Ｂ、処理Ｃ）を実行する。例えば、セッション接続判断プログラム１０３は、認証用データに含まれる処理の識別情報に基づいて、車両側アプリ１１０に識別情報が示す処理（例えば、処理Ａ、処理Ｂ、処理Ｃ）を実行させる。管制室側のファイル認証プログラム１０６は、車両側のデバイス２から送信された乱数と、車両側アプリ１１０にある実行ファイルと設定ファイルからハッシュ値１０５を計算する（ステップＳ８）。また、管制室側の実行履歴認証プログラム１０８は、車両側のデバイス２から送信された入力信号と、前周期の実行履歴ＣＲＣと、車両側アプリ１１０のチェックポイント（車両側と同じ処理）の処理結果から実行履歴ＣＲＣ１０７を計算する（ステップＳ９）。実行履歴認証プログラム１０８は、計算した実行履歴ＣＲＣ１０７を、次周期の実行履歴ＣＲＣのために記憶しておく。セッション接続判断プログラム１０３は、計算したハッシュ値１０５、実行履歴ＣＲＣ１０７が含まれた認証用データを生成し、共有鍵で暗号化する。通信ミドルウェア１０２は、暗号化された認証用データをデバイス２へ送信する（ステップＳ１０）。
【0029】
また、セッション接続判断プログラム１０３は、デバイス２から受信した認証データと、計算したハッシュ値１０５および実行履歴ＣＲＣ１０７に基づいて認証を行う（ステップＳ１１）。具体的には、セッション接続判断プログラム１０３は、計算したハッシュ値１０５とデバイス２から受信したハッシュ値２０５を比較し、両者が一致するかどうかを確認する。これにより、検証対象のアプリケーションプログラム（車両側アプリ２０１）が改ざんされていないかを検証する。また、セッション接続判断プログラム１０３は、計算した実行履歴ＣＲＣ１０７とデバイス２から受信した実行履歴ＣＲＣ２０７を比較し、両者が一致するかどうかを確認する。これにより、管制室側、車両側のアプリケーションプログラムが同じ動作をしているか検証する。ハッシュ値１０５とハッシュ値２０５が一致し、実行履歴ＣＲＣ１０７と実行履歴ＣＲＣ２０７が一致すると、セッション接続判断プログラム１０３は、認証が成功したと判定し、何れか１つでも一致しなければ、認証が失敗したと判定する。認証が成功した場合、セッション接続判断プログラム１０３は、そのままセッションを継続し、車両側アプリ２０１の稼働中、ステップＳ７以降の処理を周期的に繰り返し行う。
【0030】
デバイス２では、通信ミドルウェア２０２がデバイス１から送信された認証用データを取得し、セッション接続判断プログラム２０３が共有鍵で認証用データを復号する。そして、セッション接続判断プログラム２０３は、デバイス１から受信した認証データと、計算したハッシュ値２０５および実行履歴ＣＲＣ２０７に基づいて認証を行う（ステップＳ１１´）。具体的には、セッション接続判断プログラム２０３は、計算したハッシュ値２０５とデバイス１から受信したハッシュ値１０５を比較し、両者が一致するかどうかを確認する。これにより、検証対象のアプリケーションプログラムが改ざんされていないかを検証する。また、セッション接続判断プログラム２０３は、計算した実行履歴ＣＲＣ２０７とデバイス１から受信した実行履歴ＣＲＣ１０７を比較し、両者が一致するかどうかを確認する。これにより、管制室側、車両側のアプリケーションプログラムが同じ動作をしているか検証する。ハッシュ値２０５とハッシュ値１０５が一致し、実行履歴ＣＲＣ２０７と実行履歴ＣＲＣ１０７が一致すると、セッション接続判断プログラム２０３は、認証が成功したと判定し、何れか１つでも一致しなければ、認証が失敗したと判定する。認証が成功した場合、セッション接続判断プログラム２０３は、そのままセッションを継続し、車両側アプリ２０１の稼働中、ステップＳ４以降の処理を周期的に繰り返し行う。認証が失敗した場合、デバイス２は縮退動作（例えば、通信を遮断する、車両側アプリ２０１を停止する、車両側アプリ２０１の一部の処理のみを実行する、アラートを出力する等）へ移行する。
【0031】
（他の実施形態）
（１）図５では、車両側で乱数を発生させることとしたが、管制室側のデバイス１で乱数を発生させ、発生させた乱数を共有鍵で暗号化してデバイス２へ送信し、デバイス２では、受信した乱数を復号して、ハッシュ値２０５を計算してもよい。（２）また、図５では、デバイス２でハッシュ値２０５と実行履歴ＣＲＣ２０７を計算し、これを入力信号等とともにデバイス１へ送信して、デバイス１でハッシュ値１０５と実行履歴ＣＲＣ１０７を計算することとしたが、デバイス１とデバイス２で同時並行的にハッシュ値と実行履歴ＣＲＣを計算して、相互に照合するようにしてもよい。例えば、デバイス２は、乱数を発生させると、ハッシュ値２０５の計算と並行して、暗号化した乱数をデバイス１へ送信する。デバイス１は受信した乱数を用いてハッシュ値１０５を計算する。また、デバイス２は、入力信号を取得すると、処理Ａ等の実行と並行して、処理Ａ等に使用する入力信号を暗号化して、デバイス１へ送信する。デバイス１では、受信した入力信号を用いて実行履歴ＣＲＣ１０７を計算する。そして、デバイス１とデバイス２は、ハッシュ値と実行履歴ＣＲＣを交換しあって、相互に認証を行う。（３）また、図４では、処理Ａ～Ｃの演算結果から実行履歴ＣＲＣ１０７，２０７を計算することとしたが、通信帯域や処理時間に対するデバイス１，２の計算リソース不足により、認証処理が通信周期以内に完了しない可能性がある。そこで、実行履歴ＣＲＣ１０７，２０７は、プログラムの全ての処理に対してではなく、特定の処理（例えば、図４の処理Ｂ）に限定して計算すること、又は、数回の相互認証に１回の割合のみ実行履歴ＣＲＣ１０７，２０７の計算を実行すること等により、通信帯域や処理時間への影響を低減させるようにしてもよい。（４）また、何らかの理由で、実行履歴ＣＲＣ１０７と実行履歴ＣＲＣ２０７が一致しない場合がある。このような場合、１回の不一致で認証失敗とせずに実行履歴ＣＲＣのリトライを行うように構成してもよい。リトライ時には、最後に認証成功と判定されたときの実行履歴ＣＲＣ１０７，２０７を前周期のＣＲＣ最終値として、実行履歴ＣＲＣ１０７，２０７を計算するようにしてもよい。例えば、前々周期では一致、前周期では不一致となった場合、不一致となった前周期の実行履歴ＣＲＣ１０７，２０７を破棄して、前々周期の実行履歴ＣＲＣ１０７，２０７と処理Ａ等の演算結果から今回の実行履歴ＣＲＣ１０７，２０７を計算するようにしてもよい。
（１）図５では、車両側で乱数を発生させることとしたが、管制室側のデバイス１で乱数を発生させ、発生させた乱数を共有鍵で暗号化してデバイス２へ送信し、デバイス２では、受信した乱数を復号して、ハッシュ値２０５を計算してもよい。（２）また、図５では、デバイス２でハッシュ値２０５と実行履歴ＣＲＣ２０７を計算し、これを入力信号等とともにデバイス１へ送信して、デバイス１でハッシュ値１０５と実行履歴ＣＲＣ１０７を計算することとしたが、デバイス１とデバイス２で同時並行的にハッシュ値と実行履歴ＣＲＣを計算して、相互に照合するようにしてもよい。例えば、デバイス２は、乱数を発生させると、ハッシュ値２０５の計算と並行して、暗号化した乱数をデバイス１へ送信する。デバイス１は受信した乱数を用いてハッシュ値１０５を計算する。また、デバイス２は、入力信号を取得すると、処理Ａ等の実行と並行して、処理Ａ等に使用する入力信号を暗号化して、デバイス１へ送信する。デバイス１では、受信した入力信号を用いて実行履歴ＣＲＣ１０７を計算する。そして、デバイス１とデバイス２は、ハッシュ値と実行履歴ＣＲＣを交換しあって、相互に認証を行う。（３）また、図４では、処理Ａ～Ｃの演算結果から実行履歴ＣＲＣ１０７，２０７を計算することとしたが、通信帯域や処理時間に対するデバイス１，２の計算リソース不足により、認証処理が通信周期以内に完了しない可能性がある。そこで、実行履歴ＣＲＣ１０７，２０７は、プログラムの全ての処理に対してではなく、特定の処理（例えば、図４の処理Ｂ）に限定して計算すること、又は、数回の相互認証に１回の割合のみ実行履歴ＣＲＣ１０７，２０７の計算を実行すること等により、通信帯域や処理時間への影響を低減させるようにしてもよい。（４）また、何らかの理由で、実行履歴ＣＲＣ１０７と実行履歴ＣＲＣ２０７が一致しない場合がある。このような場合、１回の不一致で認証失敗とせずに実行履歴ＣＲＣのリトライを行うように構成してもよい。リトライ時には、最後に認証成功と判定されたときの実行履歴ＣＲＣ１０７，２０７を前周期のＣＲＣ最終値として、実行履歴ＣＲＣ１０７，２０７を計算するようにしてもよい。例えば、前々周期では一致、前周期では不一致となった場合、不一致となった前周期の実行履歴ＣＲＣ１０７，２０７を破棄して、前々周期の実行履歴ＣＲＣ１０７，２０７と処理Ａ等の演算結果から今回の実行履歴ＣＲＣ１０７，２０７を計算するようにしてもよい。
【0032】
図６に、本実施形態の多要素認証方法の適用例を示す。図６に、管制室側のデバイス１ａと車両側のデバイス２ａを含む認証システム１００ａにおける通信の一例を示す。図６の例では、図５のセッション構築（ステップＳ１，Ｓ１´，Ｓ２，Ｓ２´）の処理は既に完了していて、通信が開始された状態である。デバイス１ａの実行履歴認証プログラム１０８ａ、ＯＴＡ上位システム１０１ａ、ＨＩＰ１０２ａはそれぞれ、図２の実行履歴認証プログラム１０８とセッション接続判断プログラム１０３を含むプログラム群、管制室側アプリ１０１と仮想化アプリ１０９と車両側アプリ１１０を含んだプログラム群、通信ミドルウェア１０２に対応する。デバイス２ａの実行履歴認証プログラム２０８ａ、ＯＴＡ車載システム２０１ａ、ＨＩＰ２０２ａはそれぞれ、図２の実行履歴認証プログラム２０８とセッション接続判断プログラム２０３を含むプログラム群、車両側アプリ２０１、通信ミドルウェア２０２に対応する。範囲６１の通信では、データバックアップ、プログラム更新指示、更新データのダウンロードの指示の何れかを要求するＯＴＡ要求パケットが、デバイス１ａのＯＴＡ上位システム１０１ａからデバイス２ａのＯＴＡ車載システム２０１ａへ送信され、このＯＴＡ要求パケットの指示内容に応じて、ＯＴＡ車載システム２０１ａが実行するプログラムが切り替わる。ＯＴＡ車載システム２０１ａは、ＯＴＡ要求パケットを受信すると、受信完了や指示内容に応じた処理を実行することを含んだＯＴＡ応答パケットを、ＯＴＡ上位システム１０１ａへ送信する。範囲６１の通信に対しては、本実施形態の多要素認証は実行しない。次にＯＴＡ車載システム２０１ａが、ＯＴＡ要求パケットに基づく処理を開始すると、ＯＴＡ車載システム２０１ａはチェックポイントごとに演算結果を実行履歴認証プログラム２０８ａへ出力し、実行履歴認証プログラム２０８ａは、実行履歴ＣＲＣ２０７ａを計算する。ＨＩＰ２０２ａは、実行履歴ＣＲＣ２０７ａをＨＩＰ１０２ａへ送信する（範囲６２）。範囲６２の通信は、本実施形態の多要素認証の一例である。デバイス１ａでは、ＯＴＡ上位システム１０１ａが実行履歴ＣＲＣ１０７ａを計算し、実行履歴認証プログラム１０８ａが実行履歴ＣＲＣ１０７ａと実行履歴ＣＲＣ２０７ａの認証を行う。また、図示は省略するが、ＯＴＡ要求パケットに基づく処理実行後の通信では、デバイス１ａとデバイス２ａの間で、ハッシュ値による認証が繰り返し実行される。このように、デバイス１ａとデバイス２ａの間の通信のうち、必要な通信に限定して本実施形態の多要素認証を適用することができる。
【0033】
（効果）
以上説明したように、本実施形態によれば、デバイス１、２間で通信セッションの開始時とセッション開始後に周期的に多要素認証を実施する。そのために各デバイス１、２には、鍵情報１０４、２０４を保管しておき、セッション開始時には、この鍵情報１０４、２０４を交換して認証を行う。また、セッション開始後には、デバイス１、２で同じ認証対象プログラム（車両側アプリ１１０，２０１）の実行ファイルや設定ファイルのデータからハッシュ値１０５、２０５を計算し、さらに同じ認証対象プログラムを実行させて、実行履歴ＣＲＣ１０７，２０７を計算する。ハッシュ値１０５、２０５を照合することにより、マルウェア等によってプログラムが改ざんされていないか、あるいは不正端末ソフトウェアと通信していないかを確認することができる。また、ハッシュ値の計算については、チャレンジを使って毎回異なるようにすることで、第三者による攻撃を防止する。また、認証対象プログラムが正常に実行されているか実行状態情報をチェックするために、認証対象プログラムの処理ブロック毎にＣＲＣ計算を行い、正しく処理を実行したか検証し、ＣＲＣの照合で不一致となった場合、通信を遮断する。これにより、更なる安全性を確保することができる。なお、上記の説明では、セッション構築時の認証は鍵情報１０４、２０４によって行うこととしたが、例えば、ＨＩＰ通信を制御するプログラムを対象としてハッシュ値１０５、２０５や実行履歴ＣＲＣ１０７、２０７を計算し、鍵情報１０４、２０４に加えて、ハッシュ値１０５、２０５や実行履歴ＣＲＣ１０７、２０７による認証を加えてもよい。
以上説明したように、本実施形態によれば、デバイス１、２間で通信セッションの開始時とセッション開始後に周期的に多要素認証を実施する。そのために各デバイス１、２には、鍵情報１０４、２０４を保管しておき、セッション開始時には、この鍵情報１０４、２０４を交換して認証を行う。また、セッション開始後には、デバイス１、２で同じ認証対象プログラム（車両側アプリ１１０，２０１）の実行ファイルや設定ファイルのデータからハッシュ値１０５、２０５を計算し、さらに同じ認証対象プログラムを実行させて、実行履歴ＣＲＣ１０７，２０７を計算する。ハッシュ値１０５、２０５を照合することにより、マルウェア等によってプログラムが改ざんされていないか、あるいは不正端末ソフトウェアと通信していないかを確認することができる。また、ハッシュ値の計算については、チャレンジを使って毎回異なるようにすることで、第三者による攻撃を防止する。また、認証対象プログラムが正常に実行されているか実行状態情報をチェックするために、認証対象プログラムの処理ブロック毎にＣＲＣ計算を行い、正しく処理を実行したか検証し、ＣＲＣの照合で不一致となった場合、通信を遮断する。これにより、更なる安全性を確保することができる。なお、上記の説明では、セッション構築時の認証は鍵情報１０４、２０４によって行うこととしたが、例えば、ＨＩＰ通信を制御するプログラムを対象としてハッシュ値１０５、２０５や実行履歴ＣＲＣ１０７、２０７を計算し、鍵情報１０４、２０４に加えて、ハッシュ値１０５、２０５や実行履歴ＣＲＣ１０７、２０７による認証を加えてもよい。
【0034】
また、デバイス１、２（何れか１つでも良い）にＴＥＥをサポートしているＣＰＵ（Central Processing Unit）を利用することができる。そして、鍵情報１０４、２０４の保管、ファイル認証プログラム１０６、実行履歴認証プログラム１０８の実行をＴＥＥのＳｅｃｕｒｅ Ｗｏｒｌｄで実施することにより，不正アクセスによりＮｏｒｍａｌ Ｗｏｒｌｄに侵入されても、認証に用いる情報の健全性を確保することができる。
【0035】
図７は、実施形態に係る認証システムのハードウェア構成の一例を示す図である。
コンピュータ９００は、ＣＰＵ９０１、主記憶装置９０２、補助記憶装置９０３、入出力インタフェース９０４、通信インタフェース９０５を備える。上述のデバイス１、１ａ、２、２ａは、コンピュータ９００に実装される。そして、上述した各機能は、プログラムの形式で補助記憶装置９０３に記憶されている。ＣＰＵ９０１は、プログラムを補助記憶装置９０３から読み出して主記憶装置９０２に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ９０１は、プログラムに従って、記憶領域を主記憶装置９０２に確保する。また、ＣＰＵ９０１は、プログラムに従って、処理中のデータを記憶する記憶領域を補助記憶装置９０３に確保する。
コンピュータ９００は、ＣＰＵ９０１、主記憶装置９０２、補助記憶装置９０３、入出力インタフェース９０４、通信インタフェース９０５を備える。上述のデバイス１、１ａ、２、２ａは、コンピュータ９００に実装される。そして、上述した各機能は、プログラムの形式で補助記憶装置９０３に記憶されている。ＣＰＵ９０１は、プログラムを補助記憶装置９０３から読み出して主記憶装置９０２に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ９０１は、プログラムに従って、記憶領域を主記憶装置９０２に確保する。また、ＣＰＵ９０１は、プログラムに従って、処理中のデータを記憶する記憶領域を補助記憶装置９０３に確保する。
【0036】
なお、デバイス１、１ａ、２、２ａの全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各機能部による処理を行ってもよい。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、ＣＤ、ＤＶＤ、ＵＳＢ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また、このプログラムが通信回線によってコンピュータ９００に配信される場合、配信を受けたコンピュータ９００が当該プログラムを主記憶装置９０２に展開し、上記処理を実行しても良い。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
【0037】
以上のとおり、本開示に係るいくつかの実施形態を説明したが、これら全ての実施形態は、例として提示したものであり、発明の範囲を限定することを意図していない。これらの実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。これらの実施形態及びその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【0038】
＜付記＞
各実施形態に記載の認証システム、認証方法およびプログラムは、例えば以下のように把握される。
各実施形態に記載の認証システム、認証方法およびプログラムは、例えば以下のように把握される。
【0039】
（１）第１の態様に係る認証システム１００、１００ａは、第１のデバイスと第２のデバイスの間で認証を行う認証システムであって、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて前記認証を行う手段、を備える。
デバイス間の認証に多要素認証を適用することにより、セキュリティを向上することができる。
デバイス間の認証に多要素認証を適用することにより、セキュリティを向上することができる。
【0040】
（２）第２の態様に係る認証システム１００、１００ａは、（１）の認証システムであって、前記第１のデバイスが、前記第１の認証情報を計算する手段と、前記第２の認証情報を計算する手段と、を備え、前記第２のデバイスが、前記第１のプログラムと同じプログラムである第２のプログラムと、前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて第３の認証情報を計算する手段と、前記第２のプログラムの処理結果に基づいて第４の認証情報を計算する手段と、前記認証を行う手段と、を備え、前記認証を行う手段は、前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う。
これにより、第２のデバイスは、第１のデバイスで動作している第１のプログラムが不正なものではないか、正しく処理が実行されているかを確認することができる。
これにより、第２のデバイスは、第１のデバイスで動作している第１のプログラムが不正なものではないか、正しく処理が実行されているかを確認することができる。
【0041】
（３）第３の態様に係る認証システム１００、１００ａは、（１）～（２）の認証システムであって、前記第１のデバイスが、前記第１の認証情報と前記第３の認証情報が一致するかどうかと、前記第２の認証情報と前記第４の認証情報が一致するかどうかと、に基づいて前記認証を行う手段、をさらに備える。
これにより、第１のデバイスは、第１のデバイスで動作している第１のプログラム、又は第２のデバイスで動作している第２のプログラムが不正なものではないか、正しく処理が実行されているかを確認することができる。
これにより、第１のデバイスは、第１のデバイスで動作している第１のプログラム、又は第２のデバイスで動作している第２のプログラムが不正なものではないか、正しく処理が実行されているかを確認することができる。
【0042】
（４）第４の態様に係る認証システム１００、１００ａは、（２）～（３）の認証システムであって、前記第１のデバイスでは、前記第１のプログラムを実行させる実行環境と、前記第１の認証情報を計算する手段および前記第２の認証情報を計算する手段の実行環境とが異なるように構成されている。
第１の認証情報や第２の認証情報を計算する実行環境を第１のプログラムの実行環境と隔離する（例えば、ハードウェアで保護された演算器・メモリのみに認証に用いる情報やプログラムを格納する）ことで、外部からの不正アクセスを防止することができる。
第１の認証情報や第２の認証情報を計算する実行環境を第１のプログラムの実行環境と隔離する（例えば、ハードウェアで保護された演算器・メモリのみに認証に用いる情報やプログラムを格納する）ことで、外部からの不正アクセスを防止することができる。
【0043】
（５）第５の態様に係る認証システム１００、１００ａは、（３）の認証システムであって、前記第２のデバイスでは、前記第２のプログラムを実行させる実行環境と、前記第３の認証情報を計算する手段および前記第４の認証情報を計算する手段の実行環境とが異なるように構成されている。
第３の認証情報や第４の認証情報を計算する実行環境を第２のプログラムの実行環境と隔離する（例えば、ハードウェアで保護された演算器・メモリのみに認証に用いる情報やプログラムを格納する）ことで、外部からの不正アクセスを防止することができる。
第３の認証情報や第４の認証情報を計算する実行環境を第２のプログラムの実行環境と隔離する（例えば、ハードウェアで保護された演算器・メモリのみに認証に用いる情報やプログラムを格納する）ことで、外部からの不正アクセスを防止することができる。
【0044】
（６）第５の態様に係る認証システム１００、１００ａは、（２）～（５）の認証システムであって、前記第１の認証情報は、前記第１の認証情報を計算する度に発生させた乱数と、前記第１のプログラムの実行ファイル及び／又は設定ファイルの情報とに基づいて計算されたハッシュ値であり、前記第３の認証情報は、前記乱数と、前記第２のプログラムの実行ファイル及び／又は設定ファイルの情報とに基づいて計算されたハッシュ値である。
これにより、マルウェアでプログラムが改ざんされていないか検証可能となる。また、乱数を用いることで第三者による攻撃を防ぐことができる。
これにより、マルウェアでプログラムが改ざんされていないか検証可能となる。また、乱数を用いることで第三者による攻撃を防ぐことができる。
【0045】
（７）第７の態様に係る認証システム１００、１００ａは、（２）～（６）の認証システムであって、前記第２の認証情報は、前記第１のプログラムの所定の処理を実行した演算結果から計算したＣＲＣ（Cyclic Redundancy Check）であり、前記第２の認証情報は、前記第２のプログラムの前記所定の処理を実行した演算結果から計算したＣＲＣである。
これにより、プログラムが正常に実行されているか、実行状態情報をチェックすることができる。
これにより、プログラムが正常に実行されているか、実行状態情報をチェックすることができる。
【0046】
（８）第８の態様に係る認証システム１００、１００ａは、（２）～（７）の認証システムであって、前記第１のプログラムが実行される間、前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、前記第２のデバイスでは、前記第２のプログラムを実行すると共に、前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、前記第２のデバイスの前記認証を行う手段は、周期的に前記認証を行う。
これにより、通信セッション継続中も周期的に多要素認証を実施し、攻撃を直ちに検知して通信を遮断することができる。
これにより、通信セッション継続中も周期的に多要素認証を実施し、攻撃を直ちに検知して通信を遮断することができる。
【0047】
（９）第９の態様に係る認証システム１００、１００ａは、（２）～（８）の認証システムであって、前記第１のプログラムが実行される間、前記第１の認証情報を計算する手段は、周期的に前記第１の認証情報を計算し、前記第２の認証情報を計算する手段は、周期的に前記第２の認証情報を計算し、前記第２のデバイスでは、前記第２のプログラムを実行すると共に、前記第３の認証情報を計算する手段は、周期的に前記第３の認証情報を計算し、前記第４の認証情報を計算する手段は、周期的に前記第４の認証情報を計算し、前記第１のデバイスの前記認証を行う手段は、周期的に前記認証を行う。
これにより、通信セッション継続中も周期的に多要素認証を実施し、攻撃を直ちに検知して通信を遮断することができる。
これにより、通信セッション継続中も周期的に多要素認証を実施し、攻撃を直ちに検知して通信を遮断することができる。
【0048】
（１０）第１０の態様に係る認証システム１００、１００ａは、（２）～（９）の認証システムであって、前記第１のデバイスと前記第２のデバイスでセッションを開始する際には、前記第１のデバイスが記憶する第１の鍵情報と、前記第２のデバイスが記憶する第２の鍵情報を交換して認証を行い、認証に成功した場合、セッションを開始する。
これにより、安全にセッションを開始することができる。
これにより、安全にセッションを開始することができる。
【0049】
（１１）第１１の態様に係る認証方法は、第１のデバイスと第２のデバイスの間で認証を行う認証方法であって、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて認証を行うステップ、を有する。
【0050】
（１２）第１２の態様に係るプログラムは、コンピュータ９００に、第１のデバイスと第２のデバイスの間で認証を行う処理であって、前記第１のデバイスで実行される第１のプログラムの実行ファイル及び／又は設定ファイルの情報に基づいて演算された第１の認証情報と、前記第１のプログラムの処理結果に基づいて演算された第２の認証情報と、に基づいて認証を行うステップ、を含む処理を実行させる。
【符号の説明】
【0051】
１、１ａ、２、２ａ・・・デバイス
１０１・・・管制室側アプリ
１０２・・・通信ミドルウェア
１０３・・・セッション接続判断プログラム
１０４・・・鍵情報
１０５・・・ハッシュ値
１０６・・・ファイル認証プログラム
１０７・・・実行履歴ＣＲＣ
１０８・・・実行履歴認証プログラム
１０９・・・仮想化アプリ
１１０・・・車両側アプリ
１１１・・・実行ファイル／設定ファイル
１１２・・・実行履歴
２０１・・・車両側アプリ
２０２・・・通信ミドルウェア
２０３・・・セッション接続判断プログラム
２０４・・・鍵情報
２０５・・・ハッシュ値
２０６・・・ファイル認証プログラム
２０７・・・実行履歴ＣＲＣ
２０８・・・実行履歴認証プログラム
２０９・・・実行ファイル／設定ファイル
２１０・・・実行履歴
１０１ａ・・・ＯＴＡ上位システム
１０２ａ・・・ＨＩＰ
１０８ａ・・・実行履歴認証プログラム
２０１ａ・・・ＯＴＡ車載システム
２０２ａ・・・ＨＩＰ
２０８ａ・・・実行履歴認証プログラム
９００・・・コンピュータ
９０１・・・ＣＰＵ
９０２・・・主記憶装置
９０３・・・補助記憶装置
９０４・・・入出力インタフェース
９０５・・・通信インタフェース
１０１・・・管制室側アプリ
１０２・・・通信ミドルウェア
１０３・・・セッション接続判断プログラム
１０４・・・鍵情報
１０５・・・ハッシュ値
１０６・・・ファイル認証プログラム
１０７・・・実行履歴ＣＲＣ
１０８・・・実行履歴認証プログラム
１０９・・・仮想化アプリ
１１０・・・車両側アプリ
１１１・・・実行ファイル／設定ファイル
１１２・・・実行履歴
２０１・・・車両側アプリ
２０２・・・通信ミドルウェア
２０３・・・セッション接続判断プログラム
２０４・・・鍵情報
２０５・・・ハッシュ値
２０６・・・ファイル認証プログラム
２０７・・・実行履歴ＣＲＣ
２０８・・・実行履歴認証プログラム
２０９・・・実行ファイル／設定ファイル
２１０・・・実行履歴
１０１ａ・・・ＯＴＡ上位システム
１０２ａ・・・ＨＩＰ
１０８ａ・・・実行履歴認証プログラム
２０１ａ・・・ＯＴＡ車載システム
２０２ａ・・・ＨＩＰ
２０８ａ・・・実行履歴認証プログラム
９００・・・コンピュータ
９０１・・・ＣＰＵ
９０２・・・主記憶装置
９０３・・・補助記憶装置
９０４・・・入出力インタフェース
９０５・・・通信インタフェース
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】